No-reply adresleri, şirketlerin otomatik bildirim göndermek için kullandığı ve genellikle yanıt kabul etmediği düşünülen e-posta adresleri arasında yer alıyor. Ancak bu adreslerin bağlı olduğu alan adı şirketin kontrolünde değilse, alan adı başka biri tarafından satın alınarak e-posta alacak şekilde yapılandırılabiliyor. İncelenen olayda, şirketlerin geçersiz saydığı bu adreslerin gerçekte aktif bir alıcıya dönüşebildiği belirlendi.

WIRED tarafından yayımlanan araştırmaya göre güvenlik araştırmacısı Cory Solovewicz, 2020 yılında noreply.us, 2024 yılında ise noreply.net alan adını satın aldı. Alan adlarında gönderilen bütün mesajları kabul eden posta kutuları kuran Solovewicz, kısa süre içinde şirketlerin ve kamu kurumlarının bu adreslere başka kişilere ait bilgiler gönderdiğini fark etti.

No-Reply Adresleri Nasıl 400 Bin Mesaj Aldı?

Şirketler, müşterilerine gönderdikleri otomatik mesajlarda genellikle “no-reply” ifadesini kullanıyor. Bu ifade, gönderilen mesaja yanıt verilmemesi gerektiğini belirtiyor. Ancak no-reply adresleri, internet üzerinde kendiliğinden geçersiz veya sahipsiz hale gelmiyor. Adresin bağlı olduğu alan adı başka bir kişi tarafından satın alınmışsa gönderilen mesajlar alan adının yeni sahibine ulaşabiliyor.

Solovewicz, noreply.us alan adını başlangıçta kendi e-postalarını filtrelemek ve kişisel bilgilerini korumak için kullanmayı planladı. Alan adında bütün kullanıcı adlarına gönderilen mesajları kabul eden “catch-all” özelliğini etkinleştirdiğinde başka kurumların otomatik sistemlerinden gelen e-postalarla karşılaştı.

Araştırmacının daha sonra satın aldığı noreply.net alanına Aralık 2024’ten itibaren 401 bin 796 mesaj gönderildi. Bu sayı, günde ortalama yaklaşık 700 e-postaya karşılık geliyor. Mesajların 28 bin 365’inde dosya eki bulunuyordu.

E-postalar 14 binden fazla farklı gönderici adresinden ve 6 bin 200 ana alan adından geldi. Defcon güvenlik konferansından önceki bir aylık dönemde noreply.net ve noreply.us alanlarına gönderilen toplam mesaj sayısı 11 bini geçti. Araştırmacıya göre mesajlar kişiler tarafından tek tek yazılmadı. E-postaların önemli bölümü, şirketler ve kurumlar tarafından kullanılan otomatik yazılımlar aracılığıyla gönderildi. Yanlış yapılandırılan sistemler, gerçek kullanıcılara veya şirket içindeki adreslere gitmesi gereken bilgileri no-reply adresleri üzerinden alan adlarının sahiplerine yönlendirdi.

E-Postalarda Kişisel ve Kurumsal Bilgiler Bulunuyordu

Yanlış kişiye ulaşan mesajlar yalnızca reklamlar veya standart bildirimlerden oluşmuyordu. E-postalar arasında bir belediye tarafından hazırlanan yaralanma raporları, okul platformlarına ait hesap oluşturma mesajları, teknik servis talepleri ve kurumsal test sistemlerinin giriş bilgileri bulunuyordu. Solovewicz ayrıca kişilerin yemek siparişlerine ilişkin onay mesajları ile şirketlerin iç süreçlerinde kullanılan belgeleri aldı. Bazı mesajlar çalışanlar, müşteriler ve kurum içindeki operasyonlar hakkında doğrudan bilgi içeriyordu.

Araştırmacı, etkilenen şirketlerin isimlerini kamuoyuyla paylaşmadı. Bunun yerine kurumlarla doğrudan iletişim kurarak e-posta sistemlerinin yanlış yapılandırıldığını bildirdi. Bazı kuruluşlar sorunu giderirken bazıları gönderilen uyarılara yanıt vermedi.

Bu durum, no-reply adresleri üzerinden gerçekleşen veri aktarımının tek bir şirket veya sektörle sınırlı olmadığını gösterdi. Mesajların binlerce farklı alan adından gelmesi, benzer yapılandırmaların eğitim, kamu hizmetleri, sağlık, teknoloji ve hizmet sektörlerinde kullanıldığını ortaya koydu. E-posta yoluyla yanlış kişilere ulaşan bilgiler, veri ve gizlilik bakımından da risk oluşturuyor. Mesajlarda müşterilerin kimlik bilgileri, çalışanların kurum içindeki işlemleri veya hesaplara erişmek için kullanılabilecek bağlantılar yer alabiliyor.

15 Dolarlık Alan Adına İlk Saatte E-Postalar Geldi

Araştırmadaki ikinci örnek, EV şarj teknolojileri şirketi Xeal’in güvenlik yöneticisi Mike Sheward tarafından tespit edildi. Sheward, 2026 yılının başında deleteduser.com alan adını yaklaşık 15 dolara satın aldı. Alan adının kullanılmaya başlamasından sonraki ilk saat içinde üç farklı kuruluş, deleteduser.com uzantılı adreslere e-posta gönderdi. Şirketlerin bazıları, işten ayrılan veya hesabı silinen kullanıcıların adreslerini tamamen kaldırmak yerine “deleted user” ifadesini taşıyan adreslerle değiştiriyordu.

Bu işlem sonucunda silindiği düşünülen hesaplara yönlendirilen mesajlar, alan adının gerçek sahibine ulaştı. Sheward, farklı alan adları üzerinden en az 100 kuruluştan binlerce e-posta aldığını bildirdi. Mesajlar arasında çalışanların tatil ve izin onayları, otel rezervasyonları, kişilerin tam adları, toplantı davetleri ve sağlık ürünlerine ilişkin sipariş bilgileri vardı. Birleşik Krallık’taki bir kamu kurumunun çevrim içi toplantı davetleri de yanlışlıkla araştırmacının adresine gönderildi.

Sheward’ın aldığı mesajların bir bölümü, yapay zekâ ile görüntü analizi yapan bir şirkete aitti. Şirket, Orta Doğu’daki endüstriyel tesislerde güvenlik kurallarına uymayan çalışanları belirlemek amacıyla nesne tanıma teknolojisi kullanıyordu. Yanlış yapılandırılan sistem, çalışanları gösteren binlerce güvenlik kamerası görüntüsünü araştırmacının sahip olduğu adrese gönderdi.

No-Reply Adresleri Bir Güvenlik Açığı mı?

Olay, şirketlerin sistemlerine izinsiz girilerek gerçekleştirilen klasik bir siber saldırı olarak tanımlanmıyor. Araştırmacılar herhangi bir parola kırmadı, şirket sunucularına erişmedi veya zararlı yazılım kullanmadı. E-postalar, kurumların kendi otomatik sistemleri tarafından araştırmacıların sahip olduğu alan adlarına gönderildi.

Sorunun temelinde, “no-reply” veya “deleted user” gibi ifadelerin gerçek bir alana yönlendirilmeden kullanılabileceği varsayımı bulunuyor. Alan adı sisteminde bu ifadelerin özel bir koruması yok. Bir şirketin kontrolünde olmayan alan adı başka bir kişi tarafından satın alınabiliyor ve e-posta kabul edecek şekilde yapılandırılabiliyor. Bu nedenle no-reply adresleri kaynaklı olay, sistem yapılandırma hatası ve istenmeyen veri aktarımı olarak değerlendiriliyor. Ancak gönderilen bilgilerin niteliği, hatanın veri sızıntısına ve güvenlik ihlaline dönüşmesine neden olabiliyor.

Mesajların kötü niyetli kişilerin eline geçmesi halinde veriler kimlik avı saldırılarında kullanılabilir. Bir çalışanın izin talebi, şirket içindeki yöneticilerin isimleri veya toplantı davetleri, kurumun işleyişi hakkında bilgi sağlayabilir. Hesap oluşturma bağlantıları ve geçici parolalar ise yetkisiz erişim girişimlerinde kullanılabilir. Kişisel siparişler ve sağlık verileri, hedefli dolandırıcılık veya şantaj için değerlendirilebilir. Güvenlik kamerası görüntüleri de çalışanların kimliği, görev yaptığı tesis ve iş süreçleri hakkında bilgi verebilir. Bu tür olaylara karşı şirketlerin e-posta sistemlerini düzenli olarak denetlemesi, dijital güvenlik uygulamalarının bir parçası olarak gösteriliyor.

7 Binden Fazla Alan Adı İncelendi

Solovewicz, benzer amaçlarla kullanılabilecek alan adlarını belirlemek için 7 bin 136 alan üzerinde tarama yaptı. İncelenen alanların 328’inde, herhangi bir kullanıcı adına gönderilen mesajları kabul eden catch-all posta kutularının etkin olduğu tespit edildi. Bu sonuç, sorunun yalnızca noreply.net, noreply.us ve deleteduser.com alanlarından ibaret olmayabileceğine işaret ediyor. Şirketler tarafından geçersiz kabul edilen farklı alan adları, başka kişiler tarafından kaydedilmiş ve e-posta alacak şekilde yapılandırılmış olabilir.

Solovewicz ve Sheward, kötü niyetli kişilerin aynı yöntemle e-posta toplamasını sınırlamak amacıyla 30’dan fazla benzer alan adını satın aldı. Araştırmacılar, bu adreslere gelen mesajlarda tespit ettikleri yanlış yapılandırmaları şirketlere bildirmeye çalışıyor. Ancak mesajların binlerce farklı göndericiden gelmesi, her kurumla ayrı ayrı iletişim kurulmasını güçleştiriyor. Solovewicz, bütün bildirimleri takip etmenin tam zamanlı bir işe dönüşebileceğini belirtti. Bu nedenle araştırmacı, bulgularını Defcon güvenlik konferansında kamuoyuna açıkladı.

Şirketlerdeki Yapılandırma Hataları İnceleniyor

Araştırmacılar, şirketlerin kontrolünde bulunmayan alan adlarının otomatik mesajlarda kullanılmaması gerektiğini belirtti. Bulgulara göre silinen kullanıcı hesaplarının yalnızca yeniden adlandırılması ve otomatik gönderim sistemlerinin kurum dışındaki alanlara yönlendirilmesi, özel bilgilerin üçüncü kişilere ulaşmasına neden olabiliyor. Araştırmacılar, no-reply adresleri ile bağlantılı gönderim kurallarının ve silinen hesaplara uygulanan işlemlerin kurumlar tarafından yeniden incelenmesi gerektiğini aktardı.

No-Reply Adresleri İçin Düzenli Denetim Gerekiyor

WIRED’ın aktardığı bulgular, otomatik e-posta sistemlerindeki küçük bir yapılandırma hatasının yüz binlerce mesajı kurum dışındaki kişilere yönlendirebildiğini gösteriyor. Araştırmacıların eline ulaşan 400 binden fazla mesaj, farklı sektörlerdeki şirketlerin ve kamu kuruluşlarının benzer adresleri kullandığını ortaya koydu. No-reply adresleri, yalnızca mesajlara yanıt verilmemesini bildiren bir adlandırma biçimi. Bu ifade, adresin gerçek bir sahibi bulunmadığını veya gönderilen mesajın kimse tarafından okunamayacağını garanti etmiyor.

Araştırmacılar, sorunun giderilmesi için şirketlerin otomatik gönderim kurallarını, silinen hesaplara uygulanan işlemleri ve kurum dışına yönlendirilen mesajları incelemesi gerektiğini belirtiyor. Sistemlerin düzenli olarak denetlenmesi, özel bilgilerin gerçek sahipleri dışındaki kişilere ulaşmasını önleyebilecek temel önlemler arasında yer alıyor.

Derleyen: Gizem Özcan